Ransomware en Colombia: ¿qué podemos aprender del ataque al Ministerio de Justicia?
El ataque de ransomware al Ministerio de Justicia deja lecciones clave para fortalecer la detección, respuesta y resiliencia de las empresas.
El pasado 2 de agosto de 2026, el Ministerio de Justicia y del Derecho confirmó un ataque de ransomware que afectó parte de su infraestructura tecnológica y la disponibilidad de algunos servicios.
La entidad activó mecanismos de contención, aisló sistemas comprometidos y, junto con COLCERT, inició labores de análisis forense y recuperación.
Más allá de conocer quién estuvo detrás del ataque o cuál fue el vector inicial —aspectos que requieren investigación forense—, el incidente deja varias lecciones importantes para cualquier organización.
1. Tener antivirus no significa estar protegido
El ransomware no es únicamente un problema de malware.
Un atacante puede utilizar:
- Credenciales comprometidas.
- Phishing.
- Vulnerabilidades.
- Herramientas administrativas legítimas.
- Movimiento lateral.
- Escalamiento de privilegios.
Por eso la seguridad debe incluir prevención, monitoreo y capacidad de respuesta.
2. Detectar rápido puede cambiar el resultado
Una de las preguntas más importantes para una empresa debería ser:
¿Cuánto tiempo tardaríamos en descubrir que un atacante está dentro de nuestra red?
Un SOC debe buscar señales como:
- Inicios de sesión anómalos.
- Ejecución sospechosa de PowerShell.
- RDP o SMB fuera de comportamiento normal.
- Creación de cuentas privilegiadas.
- Desactivación de controles de seguridad.
- Eliminación de shadow copies.
- Actividad masiva sobre archivos.
El objetivo no es esperar a que aparezca el ransomware.
El objetivo es detectar las acciones que pueden conducir al ransomware.
3. Los logs son fundamentales
Durante un incidente, los registros pueden ayudar a reconstruir qué ocurrió.
Windows, Active Directory, endpoints, firewall, VPN, DNS, aplicaciones y servidores deberían generar información que pueda ser centralizada y analizada.
Aquí entra el concepto de SIEM.
Herramientas como XDR/SIEM permiten centralizar eventos, generar reglas de detección y correlacionar diferentes señales de seguridad.
Pero instalar un SIEM no es suficiente.
Hay que preguntarse:
¿Qué estamos buscando?
4. Los backups también deben sobrevivir al ataque
Tener backups no garantiza poder recuperarse.
Una estrategia de ransomware debe contemplar:
- Copias separadas de producción.
- Protección contra eliminación.
- Copias offline o inmutables.
- Control de acceso.
- Pruebas periódicas de restauración.
- Definición de RPO y RTO.
La pregunta no es:
"¿Tenemos backup?"
La pregunta correcta es:
"¿Podemos recuperar nuestra operación después de un ransomware?"
5. La ciberseguridad también es continuidad del negocio
Cuando un sistema crítico deja de funcionar, el problema deja de ser exclusivamente tecnológico.
Puede afectar:
Operaciones → Clientes → Ingresos → Reputación → Cumplimiento
Por eso una organización debe saber qué hacer durante las primeras horas de un incidente y cómo mantener sus servicios esenciales mientras recupera su infraestructura.
¿Qué debería hacer una empresa hoy?
No necesitas comenzar comprando decenas de herramientas.
Empieza por:
- Inventariar activos.
- Identificar sistemas críticos.
- Centralizar logs.
- Implementar MFA.
- Revisar privilegios.
- Monitorear endpoints.
- Proteger los backups.
- Definir un plan de respuesta.
- Probar la recuperación.
La pregunta final
El ataque al Ministerio de Justicia demuestra que ninguna organización puede asumir que está fuera del alcance del ransomware.
La pregunta no debería ser:
"¿Tenemos herramientas de seguridad?"
Sino:
"Si un atacante obtiene acceso hoy, ¿podemos detectarlo, contenerlo y recuperar nuestra operación?"
En Intercepcom creemos que la seguridad empresarial debe construirse alrededor de visibilidad, detección, respuesta y resiliencia.
Porque cuando el ransomware comienza, ya es demasiado tarde para empezar a prepararse.